Un reciente informe de Amazon Integrated Security ha sacado a la luz una campaña global dirigida contra firewalls FortiGate, en la que un atacante de habla rusa consiguió comprometer en apenas cinco semanas más de 600 dispositivos en 55 países. El elemento más preocupante no fue la sofisticación técnica clásica, sino el uso sistemático de IA generativa y modelos de lenguaje (LLM) para diseñar herramientas, automatizar tareas y planificar los siguientes pasos del ataque.
Alcance del ataque a FortiGate y perfil de las organizaciones afectadas
Según el director de Amazon Integrated Security, CJ Moses, la campaña estuvo activa entre el 11 de enero y el 18 de febrero de 2026, afectando a organizaciones de Asia Meridional, América Latina, África, Europa y otras regiones. Los objetivos principales fueron dispositivos FortiGate con interfaces de administración y VPN expuestas a Internet y con controles de autenticación debilitados.
Un aspecto crítico es que el atacante no explotó vulnerabilidades “zero-day” ni fallos avanzados. La intrusión se apoyó en errores de configuración muy comunes: paneles de gestión accesibles desde cualquier dirección IP, contraseñas débiles o reutilizadas y ausencia de autenticación multifactor (MFA). Este patrón coincide con lo que señalan informes como Verizon DBIR y ENISA: el abuso de credenciales sigue siendo uno de los vectores de ataque más frecuentes a nivel mundial.
Técnicas de intrusión: escaneo de puertos y fuerza bruta de credenciales
El atacante realizó un escaneo masivo de Internet para localizar interfaces VPN y de administración FortiGate, centrándose en puertos habituales como 443, 8443, 10443 y 4443. Una vez identificadas las puertas de entrada, aplicó ataques de fuerza bruta, es decir, el intento automatizado de múltiples combinaciones de usuario y contraseña hasta obtener credenciales válidas de administrador.
Tras lograr el acceso, procedía a extraer la configuración completa del dispositivo FortiGate: credenciales de SSL-VPN, cuentas administrativas, políticas de firewall, topología de red y rutas, así como parámetros de VPN IPsec. Estos datos se procesaban mediante scripts en Python y Go, generados con apoyo de LLM, para clasificar activos críticos, mapear la red interna y preparar el movimiento lateral.
IA generativa en ciberataques: del desarrollo de herramientas a la compensación de habilidades
Los analistas de Amazon detectaron en las herramientas maliciosas rasgos típicos de código generado por IA: abundancia de comentarios innecesarios, nombres de funciones redundantes, arquitecturas muy simples y un énfasis inusual en el formateo del código. En varios casos, la manipulación de datos en JSON se hacía de forma ingenua mediante comparaciones de cadenas en lugar de una deserialización correcta, y muchas funciones auxiliares permanecían como meros “stubs” vacíos.
Aun con una calidad discutible, ese código cumplía su objetivo: automatizar el análisis de configuraciones FortiGate, generar listas de objetivos y estructurar información para fases posteriores de la intrusión. Los expertos califican la pericia del atacante como baja o media, pero subrayan que la IA generativa compensó de forma notable sus carencias técnicas, permitiéndole operar a escala global con un esfuerzo relativamente reducido.
Movimiento lateral: de la VPN a controladores de dominio y servidores de copia de seguridad
Con acceso VPN a las redes internas, el atacante desplegaba una herramienta de reconocimiento personalizada en versiones Go y Python. La documentación operativa, redactada en ruso, describía el uso de Meterpreter y mimikatz para ejecutar ataques DCSync contra controladores de dominio de Windows y extraer hashes NTLM de Active Directory, paso clave para el compromiso total del dominio.
Otro objetivo prioritario fueron los servidores de Veeam Backup & Replication. Este patrón es habitual en campañas de ransomware: antes de cifrar los sistemas de la víctima, los atacantes intentan inutilizar o tomar el control de las copias de seguridad para limitar la capacidad de recuperación. Aunque el informe de Amazon no confirma la ejecución final de ransomware, la cadena de acciones encaja con la preparación de un ataque de este tipo.
Infraestructura del atacante: ARXON, CHECKER2 y orquestación con LLM
Un análisis adicional publicado en el blog Cyber and Ramen reveló un servidor del atacante mal configurado, en el que se encontraron 1402 archivos que incluían configuraciones robadas de FortiGate, mapas de Active Directory, volcados de credenciales, reportes de vulnerabilidades y documentos con planes detallados de ataque.
En este servidor operaba un servidor MCP personalizado denominado ARXON, que actuaba como “proxy” entre los datos robados y LLM comerciales como DeepSeek y Claude. ARXON recibía la información exfiltrada de los firewalls y generaba planes estructurados de acción, convirtiendo de facto a los modelos de lenguaje en asesores tácticos para el movimiento lateral dentro de las redes comprometidas.
LLM como asistente táctico y automatización de herramientas de hacking
También se identificó un orquestador en Go, CHECKER2, desplegado en contenedores Docker para escanear simultáneamente miles de objetivos VPN. Los registros muestran más de 2500 sistemas en más de 100 países, lo que ilustra el elevado nivel de automatización en la fase de reconocimiento.
En varios casos, Claude Code fue configurado en modo casi autónomo, llegando a lanzar por sí mismo herramientas como Impacket, Metasploit o hashcat sin aprobación explícita del operador. En un incidente concreto, el atacante suministró a la IA la topología completa de la red de la víctima —incluyendo direcciones IP, nombres de host y contraseñas— y solicitó un plan paso a paso de movimiento lateral. Cuando se encontraba con sistemas bien parcheados o protegidos, el actor solía abandonar el objetivo y pasar al siguiente, reforzando la idea de una experiencia técnica limitada apoyada fuertemente en la IA.
Este incidente en FortiGate ilustra cómo la IA generativa está redefiniendo el panorama de amenazas: incluso actores con habilidades moderadas pueden desarrollar campañas globales apoyándose en LLM para programar, analizar redes y tomar decisiones tácticas. Para las organizaciones, las prioridades inmediatas incluyen cerrar el acceso de administración de FortiGate desde Internet, activar MFA en VPN y cuentas críticas, aplicar contraseñas robustas y rotarlas periódicamente, actualizar firmware, segmentar la red y restringir el acceso a sistemas de backup como Veeam. Adoptar desde ahora políticas y controles de ciberseguridad diseñados para un entorno donde los atacantes se apoyan activamente en IA es clave para reducir la superficie de ataque y evitar compromisos con impacto catastrófico.
